使用php代码的Php htmlspecialchars然后解码它而不执行代码

Question

第一行执行时会发生什么？代码是否正在执行？因为浏览器中没有任何内容..

<?php echo htmlspecialchars_decode("&lt;?php file_put_contents(&quot;./tete.php&quot;,&quot;der inhalt&quot;); ?&gt;");     ?>


(I did htmlspecialchar on String: "<?php file_put_contents("./tete.php","content"); ?>" before and then want to decode it and it shouldn't be executed and if possible displayed in browser.)

我想知道因为浏览器中没有任何内容并且有回声..但是我不认为代码正在执行，因为否则它们应该是目录中的新tete.php文件..所以会发生什么？

Answer 1

查看输出到浏览器的原始源代码，它包含<?php file_put_contents("./tete.php","content"); ?>，它被解释为HTML标记，因此不会显示。不，它没有被评估为PHP代码。这将要求检查所有字符串是否可以运行PHP代码，然后进行评估。如果结果是另一个字符串是可运行的PHP代码？无限的递归PHP执行......？这不是它的工作方式。